DORA se ne ispunjava tako da se odredbe Uredbe prepišu u tablicu i označe kao provedene. Stvarna spremnost nastaje tek kada za svaki zahtjev možete pokazati kojem poslovnom ili IT procesu pripada, koja ga kontrola pokriva, tko je za njega odgovoran i koji dokaz potvrđuje da kontrola radi. Zato je pitanje kako mapirati DORA zahtjeve zapravo pitanje kako upravljati operativnom otpornošću, a ne samo regulatornom dokumentacijom.
Za financijske subjekte i njihove ključne funkcije ovo je osobito važno. Uredba o digitalnoj operativnoj otpornosti – DORA – povezuje upravljanje IKT rizicima, prijavu incidenata, testiranje otpornosti i rizike trećih strana u jedinstven sustav odgovornosti. Mapiranje mora organizaciji dati jasnu sliku sadašnjeg stanja, otvorenih nedostataka i prioriteta provedbe.
Počnite od opsega, a ne od popisa članaka
Prvi korak nije analiza svake pojedine odredbe, nego određivanje opsega. Uprava i odgovorne funkcije trebaju znati koje pravne osobe, poslovne linije, informacijski sustavi, kritične ili važne funkcije, pružatelji IKT usluga i lokacije ulaze u procjenu. Bez tog koraka lako nastaje privid usklađenosti: politika postoji na razini grupe, ali nije primjenjiva na podružnicu, sustav ili ugovor koji nosi stvarni rizik.
Opseg treba povezati s aktualnim inventarom imovine i usluga. To uključuje aplikacije, infrastrukturu, podatkovne tokove, identitete, mrežne ovisnosti, cloud usluge i vanjske dobavljače. Za svaku stavku treba utvrditi podržava li kritičnu ili važnu funkciju te kakve bi bile posljedice nedostupnosti, kompromitacije integriteta ili gubitka povjerljivosti podataka.
Ovdje se često susreće važan kompromis. Preširok opseg usporava procjenu i stvara administrativni teret, dok preuzak opseg ostavlja izvan kontrole upravo one ovisnosti koje nadzor može smatrati relevantnima. Rješenje nije nagađanje, nego obrazložena klasifikacija s jasnim kriterijima i evidentiranim odlukama.
Kako mapirati DORA zahtjeve na kontrole
Dobar model mapiranja ima najmanje pet povezanih razina: regulatorni zahtjev, poslovni ili IKT proces, kontrolu, odgovornu osobu i dokaz provedbe. Status usklađenosti dolazi tek nakon toga. Ako se krene od statusa “usklađeno” ili “neusklađeno”, bez tih veza, procjena se svodi na mišljenje koje je teško obraniti pred internom revizijom, upravom ili nadležnim tijelom.
Za svaki zahtjev otvorite zapis koji sadrži referencu na relevantnu odredbu DORA-e, jednostavno tumačenje obveze, obuhvaćene sustave i organizacijske jedinice, postojeću kontrolu, vlasnika kontrole, učestalost provođenja te dokaz. Dokaz može biti odobrena politika, zapisnik odbora, konfiguracija sustava, izvještaj alata, zapis o vježbi, evidencija edukacije, ugovor s dobavljačem ili rezultat internog testiranja.
Ključna razlika je između dokumenta i dokaza. Politika upravljanja incidentima pokazuje da su pravila definirana. Zapisi o klasifikaciji incidenata, eskalaciji, komunikaciji i postincidentnoj analizi pokazuju da se pravila provode. Za DORA-u su potrebna oba sloja.
Mapiranje je najpraktičnije organizirati po regulatornim područjima, ali kontrole nemojte nepotrebno duplicirati. Jedna kvalitetno uređena kontrola upravljanja pristupima može istodobno podupirati upravljanje IKT rizicima, sigurnost podataka, kontinuitet poslovanja i zahtjeve drugih primjenjivih okvira. Ipak, svaka poveznica mora biti obrazložena. Nije dovoljno pretpostaviti da ISO 27001 certifikat automatski dokazuje ispunjenje svakog DORA zahtjeva.
Upravljanje IKT rizikom: povežite upravljanje i izvedbu
DORA postavlja odgovornost upravljačkog tijela visoko na listu prioriteta. Stoga mapiranje treba obuhvatiti odluke uprave, politike, izvještavanje, dodjelu odgovornosti, procjenu rizika, zaštitu, otkrivanje, odgovor i oporavak. Nije dovoljno da je sigurnosni tim operativno sposoban ako uprava nema dokaziv nadzor nad rizikom i odlukama.
Primjerice, zahtjev za kontinuitet i oporavak ne mapira se samo na plan oporavka od katastrofe. Potrebno ga je povezati s analizom utjecaja na poslovanje, ciljevima vremena oporavka, testovima sigurnosnih kopija, vježbama oporavka, zapisima o odstupanjima i odlukama o prihvaćanju preostalog rizika. Tek tada je vidljivo pokriva li kontrola stvarni zahtjev.
Incidenti: mapirajte cijeli životni ciklus
Postupak prijave IKT incidenata često je najosjetljiviji dio DORA programa jer traži koordinaciju sigurnosti, IT operacija, pravne funkcije, poslovanja i komunikacija. Mapiranje mora obuhvatiti otkrivanje, evidentiranje, klasifikaciju, utvrđivanje značajnosti, eskalaciju, sadržaj izvješća, rokove, komunikaciju s nadležnim tijelima te završnu analizu uzroka.
Posebno provjerite jesu li kriteriji klasifikacije ugrađeni u operativni proces. Ako postoje samo u dokumentu koji tim za nadzor ne koristi tijekom incidenta, organizacija može propustiti pravodobnu procjenu i prijavu. Simulacije incidenata vrijedan su dokaz jer otkrivaju funkcioniraju li uloge, kontaktne liste, obrasci i odluke pod pritiskom.
Testiranje otpornosti: dokaz nije plan, nego rezultat
DORA zahtijeva program testiranja digitalne operativne otpornosti prilagođen rizicima subjekta. Mapiranje treba prikazati koje se vrste testiranja provode, na kojim sustavima, prema kojem planu, tko odobrava opseg i kako se nalaze pretvaraju u korektivne aktivnosti.
Penetracijski test može potvrditi dio tehničkih kontrola, ali neće dokazati da su procesi oporavka, kriznog upravljanja ili upravljanja dobavljačima učinkoviti. S druge strane, opsežna vježba kontinuiteta bez tehničkih testova može ostaviti neotkrivene ranjivosti. Program treba kombinirati metode prema kritičnosti sustava i procijenjenom riziku.
Rizik trećih strana: ugovor nije kraj kontrole
Ovisnost o pružateljima IKT usluga mora biti vidljiva u registru, procjeni rizika i ugovornom okviru. Za svakog relevantnog pružatelja mapirajte uslugu, podržanu funkciju, lokaciju obrade, podugovaratelje, izlaznu strategiju, ugovorna prava na pristup i reviziju, obveze izvještavanja o incidentima te plan kontinuiteta u slučaju prekida usluge.
Najčešća praznina nastaje kada nabava vodi ugovore, IT prati uslugu, a funkcija usklađenosti priprema regulatorni pregled bez jedinstvenog izvora podataka. Vlasništvo nad kontrolama može biti raspodijeljeno, ali evidencija mora biti povezana. Tako se može brzo utvrditi koji dobavljač podržava koju kritičnu funkciju i koje su mjere dostupne ako njegova usluga zakaže.
Ocijenite praznine prema riziku i dokazivosti
Nakon početnog mapiranja neusklađenosti razdvojite u tri skupine: kontrola ne postoji, kontrola postoji ali se ne provodi dosljedno, ili se provodi ali nema dostatan dokaz. Svaka skupina zahtijeva drukčiji plan. Izrada nove kontrole obično traži više vremena i ulaganja. Nedostatak dokaza može se riješiti boljim zapisima, automatizacijom prikupljanja evidencije i jasnijim odgovornostima, ali samo ako kontrola doista radi.
Prioritete određujte prema utjecaju na kritične funkcije, regulatornom riziku, izloženosti prijetnjama i vremenu potrebnom za provedbu. Vlasnik aktivnosti, rok, potrebni resursi i kriterij zatvaranja moraju biti evidentirani uz svaku otvorenu stavku. Općenita preporuka poput “poboljšati nadzor dobavljača” nije akcijski plan. Preciznije je odrediti, primjerice, da se do određenog roka dopuni registar, revidiraju ugovorne klauzule i provede procjena za dobavljače koji podržavaju kritične funkcije.
Pretvorite mapu u kontinuirani sustav upravljanja
DORA mapiranje nije jednokratni projekt. Sustavi se mijenjaju, dobavljači uvode podugovaratelje, incidenti otkrivaju slabosti, a testovi stvaraju nove nalaze. Zato mapa zahtjeva mora ostati živi operativni registar, povezan s upravljanjem rizicima, internom revizijom, planovima aktivnosti i izvješćivanjem upravi.
U praksi najveći administrativni teret nije samo procjena, nego održavanje dokaza i praćenje zatvaranja nalaza. Platforma poput ITrevizija.hr može strukturirati zahtjeve, vlasnike, dokaze, neusklađenosti i planove provedbe na jednom mjestu, uz AI podršku za analizu dokumentacije i pripremu izvješća. Pri tome je presudno da osjetljivi dokazi ostanu pod primjerenom kontrolom pristupa, enkripcijom i sigurnim EU hostingom.
Dobro mapirani DORA zahtjevi upravi ne daju još jednu tablicu. Daju pouzdan odgovor na praktično pitanje: gdje smo izloženi, što moramo učiniti, tko to vodi i možemo li dokazati da kontrola funkcionira kada je najpotrebnije.